- Yama var
- Son 7 gün
- CWE-89
CVE-2026-116813
OpenPanel ClickHouse sorgularında SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
OpenPanel 3.0.0 öncesi sürümlerde ConversionService.getConversion içinde bir SQL enjeksiyonu açığı bulunmaktadır. Bu açık, proje okuma yetkisine sahip üyelerin ve paylaşım bağlantısına sahip kişilerin, kaçışlanmamış olay adları ve tarihler aracılığıyla ClickHouse SQL kodu enjekte etmesine olanak tanımaktadır. Saldırganlar, seri adlarında veya startDate/endDate değerlerinde OR 1=1 ifadesiyle metin sabitlerinden çıkabilmekte ve böylece project_id kapsamlandırmasını etkisiz hale getirerek diğer kiracıların analitik verilerini okuyabilmektedir.
Kaynaktaki açıklama (İngilizce)
OpenPanel before 3.0.0 contains an sql injection vulnerability in ConversionService.getConversion that allows project-read members and share-link holders to inject ClickHouse SQL through unescaped event names and dates. Attackers can break out of string literals in series names or startDate/endDate values with OR 1=1 to neutralize project_id scoping and read other tenants' analytics data.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Openpanel-dev openpanel | < 3.0.0 | 3.0.0 |
| 3.0.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.